Chiến tranh virus kỹ thuật số trong chuỗi cung ứng mã của sàn giao dịch tiền mã hóa: hacker Triều Tiên biến JavaScript thành công cụ chiếm đoạt

Năm 2025 tháng 3, cộng đồng nhà phát triển toàn cầu phát hiện một loạt gói phần mềm JavaScript bị cấy mã độc, với lượt tải xuống đã vượt quá một triệu lần. Những thành phần mã nguồn mở tưởng chừng bình thường này thực chất mang theo phần mềm trộm tiền điện tử do tổ chức hacker Triều Tiên Lazarus thiết kế, kẻ tấn công đã chỉnh sửa các thư viện công cộng trong npm (trình quản lý gói Node.js), xây dựng một chuỗi lây nhiễm kỹ thuật số tự động phát tán mã độc.

Phân tích kỹ thuật của cuộc tấn công theo mô-đun

Phần mềm độc hại dựa trên logic “chiếm đoạt phụ thuộc”: khi nhà phát triển tham chiếu thư viện bên thứ ba bị nhiễm trong dự án, mã độc sẽ tự động quét các tệp ví tiền điện tử lưu trữ cục bộ. Nó thực hiện tấn công ẩn qua ba cơ chế sau:

Ngụy trang môi trường: Chương trình chỉ kích hoạt khi phát hiện IP địa lý hoặc ngôn ngữ hệ thống cụ thể, tránh bị phát hiện trong các thử nghiệm sandbox;

Rình mò khóa: Đối với ví để bàn phát triển dựa trên Electron, lợi dụng quyền hệ thống tệp để trộm khóa riêng tư;

Làm rối loạn chuỗi: Chuyển đổi tài sản bị trộm qua cầu nối chuỗi chéo thành đồng tiền riêng tư, rồi đưa vào bể thanh khoản của sàn giao dịch phi tập trung để rửa tiền.

Logic chiến trường mới của cuộc chiến tranh kỹ thuật số

Cuộc tấn công này đã phơi bày điểm yếu chết người của hệ sinh thái mã nguồn mở:

Chuỗi tin cậy bị đứt gãy: Hơn 78% dự án JavaScript phụ thuộc vào thư viện của bên thứ ba chưa qua kiểm tra an toàn, hacker chỉ cần tấn công một tài khoản duy trì để làm ô nhiễm toàn bộ cây phụ thuộc;

Cân bằng đòn bẩy kinh tế mất cân đối: Tài sản bị trộm qua bộ trộn tiền (mixers) được đưa vào các giao thức DeFi, cuối cùng chảy vào các công ty vỏ bọc do Triều Tiên kiểm soát, dùng để mua sắm công nghệ quân dân;

Hệ thống phòng thủ chậm trễ: Phần mềm diệt virus truyền thống không thể nhận diện hành vi chiếm đoạt mã trong quá trình chạy của Node.js, tường lửa doanh nghiệp thường thiếu khả năng kiểm tra sâu lưu lượng npm.

Ba lớp phòng thủ trong cuộc chiến phòng vệ của nhà phát triển

Để đối phó với các cuộc tấn công chuỗi cung ứng, các chuyên gia an ninh đề xuất thực hiện chiến lược “phát triển không tin tưởng”:

Truy xuất nguồn phụ thuộc: Sử dụng các công cụ như Snyk để quét cây phụ thuộc dự án, chặn các thành phần có giấy phép rủi ro cao;

Giám sát thời gian chạy: Triển khai hệ thống phân tích hành vi trong pipeline CI/CD, bắt giữ các tệp tin hoặc yêu cầu mạng bất thường;

Cách ly phần cứng: Lưu trữ khóa riêng tư tách biệt vật lý với môi trường phát triển, sử dụng HSM (thiết bị an toàn phần cứng) để ký giao dịch.

Cuộc chiến tối tăm này nhằm vào chuỗi cung ứng mã nguồn, đánh dấu rằng chiến tranh mạng đã chuyển từ phòng thủ tấn công truyền thống sang tấn công chính xác vào công cụ phát triển. Khi mỗi dòng mã nguồn mở đều có thể trở thành phương tiện tấn công của quốc gia đối địch, xây dựng hệ thống phòng thủ cấp độ miễn dịch sẽ trở thành vấn đề then chốt để duy trì sự tồn tại của hệ sinh thái blockchain. **$D **$S **$PLUME **